Que sont les journaux de connexion Microsoft Entra ?

Microsoft Entra enregistre toutes les connexions à un locataire Microsoft Entra, qui comprend vos applications et ressources internes. En tant qu’administrateur informatique, vous devez connaître la signification des détails du journal des connexions afin de pouvoir interpréter correctement les valeurs du journal.

L’examen des erreurs et schémas de connexion fournit des informations précieuses sur la façon dont vos utilisateurs accèdent aux applications et aux services. Les journaux de connexion fournis par Microsoft Entra ID sont un type puissant de journal d’activité que vous pouvez analyser. Cet article décrit plusieurs aspects clés des journaux d’activité.

Trois autres journaux d’activité sont également disponibles pour vous aider à surveiller l’intégrité de votre locataire :

• Audit – informations sur les modifications appliquées à votre locataire, telles que la gestion des utilisateurs et des groupes ou les mises à jour appliquées aux ressources de votre locataire.
• Inscriptions (préversion) : pour les locataires externes uniquement, des informations sur toutes les tentatives d’inscription en libre-service, y compris les inscriptions réussies et les tentatives ayant échoué.
• Provisioning – activités effectuées par un service de provisioning, telles que la création d’un groupe dans ServiceNow ou l’importation d’un utilisateur depuis Workday.

À quoi peuvent vous servir les journaux de connexions ?

Vous pouvez utiliser les journaux d’activité pour répondre à des questions telles que :

• Combien d’utilisateurs se sont connectés à une application particulière cette semaine ?
• Combien de tentatives de connexion ont échoué au cours des dernières 24 heures ?
• Les utilisateurs se connectent-ils à partir de navigateurs ou de systèmes d’exploitation spécifiques ?
• Quelles ressources Azure ont été consultées par des identités gérées et des principaux de service ?

Vous pouvez également décrire l’activité associée à une requête de connexion en identifiant les détails suivants :

• Qui : l’identité (utilisateur) qui effectue la connexion.
• Comment : le client (application) utilisé pour la connexion.
• Quoi : la cible (ressource) à laquelle l’identité a accédé.

Note

Les entrées des journaux d’activité sont générées par le système et ne peuvent être ni modifiées ni supprimées.

Comment accéder aux journaux de connexions ?

Il existe plusieurs façons d’accéder aux journaux, en fonction de vos besoins. Pour plus d’informations, consultez Comment accéder aux journaux d’activité.

Pour afficher les journaux de connexion depuis le Centre d’administration Microsoft Entra :

1. Veuillez vous connecter au centre d'administration Microsoft Entra avec au moins les droits de lecteur de rapports.
2. Accédez à Entra ID>Surveillance et santé>Journaux de connexion.

Pour utiliser plus efficacement les journaux d’activité dans le centre d’administration Microsoft Entra, ajustez les filtres afin d’afficher uniquement un ensemble spécifique de journaux. Pour plus d’informations, consultez Filtrer les journaux d’activité.

Quels sont les types de journaux d’activité ?

Il existe quatre types de journaux dans la préversion des journaux d’activité :

• Connexions utilisateur interactives
• Connexions utilisateur non interactives
• Connexions principales de service
• Connexions d’identité gérée

L’expérience des journaux de connexion archivée inclut uniquement les connexions utilisateur interactives.

Journaux d'agents

Les journaux d’activité de l’agent sont un nouveau type de journal dans nos journaux d’audit et de connexion pour vous aider à surveiller les activités associées à l’agent. Les administrateurs informatiques peuvent afficher et gérer l’activité de l’agent directement dans le Centre d’administration Microsoft Entra et à l’aide de l’API Microsoft Graph. Pour plus d’informations, consultez les journaux d’ID de Microsoft Entra Agent.

Données de connexion utilisées par d’autres services

Les données de connexion sont utilisées par plusieurs services dans Azure et Microsoft Entra pour surveiller les connexions risquées, fournir un aperçu de l’utilisation des applications, etc.

Protection de l'ID Microsoft Entra

La visualisation des données du journal des connexions liées aux connexions risquées est disponible dans la présentation de Microsoft Entra ID Protection, qui utilise les données suivantes :

• Utilisateurs à risque
• Connexions des utilisateurs à risque
• Identités de charge de travail à risque

Pour plus d’informations sur les outils Microsoft Entra ID Protection, consultez la présentation de Microsoft Entra ID Protection.

Utilisation et aperçus de Microsoft Entra

Pour afficher les données de connexion spécifiques à une application, accédez à Microsoft Entra ID>Surveillance & intégrité>Utilisation & aperçus. Ces rapports fournissent des informations détaillées sur les connexions pour l’activité des applications Microsoft Entra et l’activité des applications AD FS. Pour plus d’informations, consultez Utilisation de Microsoft Entra & aperçu.

Plusieurs rapports sont disponibles dans Utilisation& aperçu. Certains de ces rapports sont en préversion.

• Activité des applications Microsoft Entra (préversion)
• Activité des applications AD FS
• Activité des méthodes d’authentification
• Activité de connexion du principal de service
• Activité des informations d’identification de l’application

Journaux d’activité Microsoft 365

Vous pouvez consulter les journaux d’activité Microsoft 365 dans le centre d’administration Microsoft 365. Les journaux d’activité Microsoft 365 et Microsoft Entra partagent un nombre important de ressources d’annuaire. Seul le centre d’administration Microsoft 365 fournit une vue complète des journaux d’activité d’Microsoft 365.

Vous pouvez accéder programmatiquement aux journaux d’activité Microsoft 365 en utilisant les API de gestion Microsoft 365.